Поверителни транзакции в Monero или как да прехвърляте неизвестни неща до неизвестни дестинации

Продължаваме нашата поредица за блокчейн Monero и днешната статия ще се съсредоточи върху протокола RingCT (Ring Confidential Transactions), който въвежда поверителни транзакции и нови подписи на пръстена. За съжаление в интернет има малко информация за това как работи и ние се опитахме да запълним тази празнина.

Ще говорим за това как мрежата крие суми за преводи, използвайки този протокол, защо са изоставили класическите пръстеновидни подписи на криптоноти и как тази технология ще се развива по-нататък.

Тъй като този протокол е една от най-сложните технологии в Monero, читателят ще се нуждае от основни познания за дизайна на този блокчейн и междинни познания за криптографията с елиптична крива (за да освежите тези знания, можете да прочетете първите глави на нашия предишна статия за мултисигнатури).

RingCT протокол

Една от възможните атаки срещу валутите на криптовалутите е блокчейн анализ, базиран на познаване на сумата и времето на изпратената транзакция. Това позволява значително стесняване на зоната за търсене на изходи, представляващи интерес за нападателя. За да се предпази от подобен анализ, Monero е внедрил протокол за анонимни транзакции, който напълно скрива сумите на преводите в мрежата.

Заслужава да се отбележи, че идеята за укриване на суми не е нова. Разработчикът на Bitcoin Core Грег Максуел беше един от първите, които го описаха в своя статия Поверителни транзакции. Текущата реализация на RingCT е нейната модификация с възможност за използване на ring подписи (независимо дали без тях) и така получи името си - Ring Confidential Transactions.

Наред с други неща, протоколът помага да се отървете от проблеми със смесване на прахови изходи - изходи на малка сума (обикновено получени под формата на промяна от транзакции), които създават повече проблеми, отколкото си заслужават.

През януари 2017 г. се проведе хард форк на мрежата Monero, който позволява незадължително използване на поверителни транзакции. И още през септември същата година, с хард форка на версия 6, подобни транзакции станаха единствените разрешени в мрежата.

RingCT използва няколко механизма наведнъж: многослойни свързани спонтанни анонимни групови подписи (Multilayered Linkable Spontaneous Anonymous Group Signature, наричан по-нататък MLSAG), схема за ангажименти (Ангажименти на Pedersen) и доказателства за обхват (този термин няма установен превод на руски) .

Протоколът RingCT въвежда два типа анонимни транзакции: прости и пълни. Портфейлът генерира първия, когато транзакцията използва повече от един вход, втория - в обратна ситуация. Те се различават по валидирането на сумите на транзакциите и данните, подписани с подпис на MLSAG (ще говорим повече за това по-долу). Освен това, транзакции от тип full могат да бъдат генерирани с произволен брой входове, няма фундаментална разлика. В книгата „От нула до Monero“ В тази връзка се казва, че решението за ограничаване на пълните транзакции до един вход е взето набързо и може да се промени в бъдеще.

Подпис на MLSAG

Нека си припомним какво представляват подписаните транзакции. Всяка транзакция изразходва и генерира някакви средства. Генерирането на средства става чрез създаване на транзакционни изходи (пряка аналогия са сметките), а изходът, който транзакцията изразходва (в края на краищата, в реалния живот ние харчим банкноти), става вход (бъдете внимателни, много е лесно да се объркате тук).

Един вход препраща към множество изходи, но изразходва само един, като по този начин създава „димна завеса“, за да затрудни анализирането на историята на превода. Ако транзакцията има повече от един вход, тогава такава структура може да бъде представена като матрица, където редовете са входовете, а колоните са смесените изходи. За да се докаже на мрежата, че транзакцията изразходва точно своите изходи (знае техните секретни ключове), входовете се подписват с пръстен подпис. Такъв подпис гарантира, че подписващият е знаел секретните ключове за всички елементи на която и да е от колоните.

Поверителните транзакции вече не използват класическите криптонота пръстеновидни подписи, те бяха заменени от MLSAG - версия на подобни еднослойни пръстеновидни подписи, адаптирани за множество входове, LSAG.

Наричат ​​се многослойни, защото подписват няколко входа наведнъж, всеки от които е смесен с няколко други, т.е. подписва се матрица, а не един ред. Както ще видим по-късно, това помага да се спести от размера на подписа.

Нека да разгледаме как се формира подпис на пръстена, използвайки примера на транзакция, която изразходва 2 реални изхода и използва m - 1 произволни такива от блокчейна за смесване. Нека обозначим публичните ключове на изходите, които изразходваме като
и съответно ключови изображения за тях: Така получаваме матрица на размера 2 х м. Първо, трябва да изчислим така наречените предизвикателства за всяка двойка изходи:

Започваме изчисленията с изходите, които изразходваме с техните публични ключове:и произволни числаВ резултат на това получаваме следните стойности:
, който използваме за изчисляване на предизвикателството
следващата двойка изходи (за да разберем по-лесно какво къде заместваме, маркирахме тези стойности в различни цветове). Всички следните стойности се изчисляват в кръг, като се използват формулите, дадени в първата илюстрация. Последното нещо, което трябва да се изчисли, е предизвикателството за двойка реални резултати.

Както виждаме, всички колони с изключение на тази, която съдържа реални резултати, използват произволно генерирани числа. За π- колона също ще ни трябват. Да се ​​трансформирамев s:
Самият подпис е набор от всички тези стойности:

След това тези данни се записват в транзакция.

Както виждаме, MLSAG съдържа само едно предизвикателство c0, което ви позволява да спестите от размера на подписа (което вече изисква много място). Освен това всеки инспектор, използващ данните, възстановява стойностите c1,…, cm и проверява това. Така нашият пръстен е затворен и подписът е проверен.

За транзакции RingCT от пълен тип към матрицата се добавя още един ред със смесени изходи, но ще говорим за това по-долу.

Ангажименти на Pedersen

Схеми за задължения (по-често се използва английският термин ангажименти) се използват, за да може едната страна да докаже, че знае определена тайна (номер), без всъщност да я разкрива. Например, хвърляте определено число на зара, обмисляте ангажимент и го предавате на проверяващата страна. По този начин, в момента на разкриване на секретния номер, верификаторът самостоятелно изчислява ангажимента, като по този начин се уверява, че не сте го измамили.

Ангажиментите на Monero се използват за скриване на сумите на преводите и се използва най-често срещаната опция - ангажиментите на Pedersen. Между другото, интересен факт - първоначално разработчиците предложиха да скрият сумите чрез обикновено смесване, тоест добавяне на изходи за произволни суми, за да въведат несигурност, но след това преминаха към ангажименти (не е факт, че са спестили размера на транзакцията, както ще видим по-долу).
Най-общо ангажиментът изглежда така:
където C — значението на самия ангажимент, a - скрита сума, H е фиксирана точка на елиптичната крива (допълнителен генератор) и x — някаква произволна маска, скриващ фактор, генериран на случаен принцип. Маската е необходима тук, за да не може трета страна просто да отгатне стойността на ангажимента.

Когато се генерира нов изход, портфейлът изчислява ангажимент за него и когато се изразходва, той взема или стойността, изчислена по време на генерирането, или я преизчислява, в зависимост от типа транзакция.

RingCT просто

В случай на прости RingCT транзакции, за да се гарантира, че транзакцията е създала изходи в количество, равно на количеството на входовете (не е произвела пари от нищото), е необходимо сумата от ангажиментите на първия и втория да бъдат еднакви, тоест:

Комисиите по ангажиментите го разглеждат малко по-различно - без маска:
Където a — сумата на комисионната, тя е публично достъпна.

Този подход ни позволява да докажем на разчитащата страна, че използваме същите суми, без да ги разкриваме.

За да направим нещата по-ясни, нека разгледаме един пример. Да приемем, че една транзакция изразходва два изхода (което означава, че стават входове) от 10 и 5 XMR и генерира три изхода на стойност 12 XMR: 3, 4 и 5 XMR. В същото време той плаща комисионна от 3 XMR. По този начин изразходваната сума плюс генерираната сума и комисионната е равна на 15 XMR. Нека се опитаме да изчислим ангажиментите и да видим разликата в техните суми (помнете математиката):

Тук виждаме, че за да се сближи уравнението, се нуждаем от сумите на входната и изходната маски да бъдат еднакви. За да направите това, портфейлът генерира на случаен принцип x1, y1, y2 и y3, и останалите x2 изчислява така:

С помощта на тези маски можем да докажем на всеки проверяващ, че не генерираме повече средства, отколкото харчим, без да разкриваме сумата. Оригинално, нали?

RingCT пълен

При пълни транзакции на RingCT проверката на сумите за превод е малко по-сложна. При тези транзакции портфейлът не преизчислява ангажиментите за входове, а използва тези, изчислени, когато са били генерирани. В този случай трябва да приемем, че вече няма да получаваме разликата в сумите, равна на нула, а вместо това:

Тук z — разлика между входни и изходни маски. Ако вземем предвид zG като публичен ключ (какъвто де факто е), тогава z е частният ключ. По този начин познаваме публичния и съответните частни ключове. С тези данни в ръка, можем да ги използваме в пръстенния подпис на MLSAG заедно с публичните ключове на изходите, които се смесват:

По този начин валиден пръстенен подпис ще гарантира, че знаем всички частни ключове на една от колоните и можем да знаем частния ключ в последния ред само ако транзакцията не генерира повече средства, отколкото изразходва. Между другото, ето отговора на въпроса "защо разликата в сумите на ангажиментите не води до нула" - ако zG = 0, тогава ще разширим колоната с реални изходи.

Как получателят на средствата знае колко пари са му изпратени? Тук всичко е просто - подателят на транзакцията и получателят обменят ключове с помощта на протокола Diffie-Hellman, използвайки ключа за транзакция и ключа за изглед на получателя и изчисляват споделената тайна. Изпращачът записва данни за изходните суми, криптирани с този споделен ключ, в специални полета на транзакцията.

Доказателства за обхват

Какво се случва, ако използвате отрицателно число като сума в задълженията? Това може да доведе до генериране на допълнителни монети! Този резултат е неприемлив, така че трябва да гарантираме, че сумите, които използваме, не са отрицателни (без да разкриваме тези суми, разбира се, иначе има толкова много работа и всичко е напразно). С други думи, трябва да докажем, че сумата е в интервала [0, 2n - 1].

За да направите това, сумата от всеки изход се разделя на двоични цифри и ангажиментът се изчислява за всяка цифра поотделно. По-добре е да видите как това се случва с пример.

Да приемем, че нашите суми са малки и се побират в 4 бита (на практика това са 64 бита) и създаваме изход на стойност 5 XMR. Ние изчисляваме ангажиментите за всяка категория и общия ангажимент за цялата сума:
След това всеки ангажимент се смесва със сурогат (Ci-2iH) и е подписан по двойки с подписа на пръстена Borromeo (друг подпис на пръстена), предложен от Грег Максуел през 2015 г. (можете да прочетете повече за него тук):
Взети заедно, това се нарича доказателство за диапазон и ви позволява да гарантирате, че ангажиментите използват суми в диапазона [0, 2n - 1].

Каква е следващата?

В текущата реализация обхватните доказателства заемат много място - 6176 байта на изход. Това води до по-големи транзакции и следователно до по-високи такси. За да намалят размера на транзакцията на Monero, разработчиците въвеждат непропускащи куршуми вместо подписи Borromeo - механизъм за доказване на обхват без битови ангажименти. Според някои оценки, те са в състояние да намалят размера на доказателството за обхват с до 94%. Между другото, в средата на юли технологията премина одит от Куделски Секюрити, които не разкриха съществени недостатъци нито в самата технология, нито в нейното изпълнение. Технологията вече се използва в тестовата мрежа и с новия хард форк вероятно може да се премести в основната мрежа.

Задавайте вашите въпроси, предлагайте теми за нови статии за технологии в областта на криптовалутата, а също така се абонирайте за нашата група в Facebookза да бъдете в крак с нашите събития и публикации.

Източник: www.habr.com